Windows 11 dispose du DNS over HTTPS intégré dans les Paramètres, la plupart des gens ne l’ont jamais vu, et cela prend environ cinq minutes à activer. C’est l’argument qu’un récent article de XDA a présenté, et il a raison : le DNS chiffré est la mise à niveau de confidentialité la moins chère sur une machine Windows, et pourtant la majorité des ordinateurs de bureau envoient toujours les requêtes en clair au résolveur que le routeur leur confie. N’importe qui sur le même réseau local, le FAI et le point d’accès du café peuvent lire chaque domaine que nous consultons.
Nous avons testé sept applications et configurations pour le DNS chiffré sur Windows, du client DoH intégré à Windows 11 aux clients tiers qui ajoutent le filtrage, les règles par application et le basculement entre DoH, DoT et DoQ. Chacun d’entre eux arrête les fuites DNS en texte brut. Les différences résident dans le filtrage, la télémétrie et le contrôle que nous avons sur quelle application communique avec quel résolveur.
Ce qu'il faut rechercher dans une application de DNS chiffré pour Windows
Un bon client de DNS chiffré sur Windows devrait faire plus que tunneliser le port 53 :
- Prise en charge minimale de DoH (DNS over HTTPS), DoT (DNS over TLS) et DoQ (over QUIC) en bonus.
- Filtrage par profil (publicités, suivi, contenu adulte, hameçonnage) avec listes blanches et listes noires, de sorte que le résolveur fonctionne également comme un filtre de contenu.
- Journaux réels de ce qui a été bloqué, sans envoyer notre historique de navigation à un courtier.
- Routage par réseau ou par application, pour qu’un VPN professionnel puisse forcer les requêtes dans son tunnel tandis que tout le reste utilise notre résolveur.
- Prise en charge du partage d’horizon ou des domaines locaux, de sorte que
.local,.internalet les noms d’hôte du homelab se résolvent toujours. - Un service silencieux et léger en mémoire, car un daemon en arrière-plan qui monopolise un processeur est inacceptable.
Comparaison rapide
| Application | Meilleur pour | Plateformes | Plan gratuit | Prix de départ/mois | Note |
|---|---|---|---|---|---|
| NextDNS | Filtrage configurable avec profils par réseau | Windows, macOS, Linux | 300 k requêtes/mois | Abonnement annuel modeste | 4,8 / 5 dans les avis utilisateurs |
| ControlD | DNS personnalisé avec règles de routage par application et géolocalisation | Windows, macOS, Linux | Offre gratuite complète | Abonnement annuel modeste | 4,8 / 5 |
| AdGuard DNS | Résolveur basé sur la liste noire | Windows, macOS, Linux | 300 k requêtes/mois | Abonnement annuel modeste | 4,7 / 5 |
| Cloudflare WARP | Confidentialité zéro configuration avec option tunnel | Windows, macOS, Linux | Gratuit complet | WARP+ mensuel modeste | 4,5 / 5 |
| Simple DNSCrypt | Interface DNS open source et gratuite pour DNSCrypt / DoH | Windows | Complètement gratuit, open source | Gratuit | Communauté, GitHub |
| YogaDNS | Règles DNS par application | Windows | Essai | Licence unique modeste | Utilitaire payant |
| DNSCrypt-Proxy | Résolveur sans interface pour utilisateurs avancés | Windows, macOS, Linux | Complètement gratuit, open source | Gratuit | Projet GitHub |
Le client DoH intégré de Windows 11 est le huitième choix — ce n’est pas une « application » au sens du store mais c’est le point de départ raisonnable. Nous le couvrons en dernier.
Les applications
1. NextDNS
NextDNS est le choix si nous voulons la configuration d’un résolveur hébergé plus le contrôle d’un Pi-hole auto-hébergé. Le tableau de bord expose les groupes de filtres (publicités, suivi, contenu adulte, malveillances, hameçonnage, cryptominage, jeux d’argent, rencontres) et chaque liste noire ouverte populaire. L’analyse par profil montre quels domaines ont été consultés et lesquels ont été bloqués, et le paramètre de rétention des journaux peut être désactivé complètement pour les équipes qui ne veulent pas garder de traces. Le client Windows configure DoH dans le système d’exploitation et un commutateur par profil pour les réseaux professionnels et personnels.
Où cela pèche : l’offre gratuite est limitée à 300 000 requêtes par mois, ce que la plupart des ordinateurs de bureau individuels respecteront mais pas un ménage. Le tableau de bord s’est agrandi au point de ressembler à un petit SIEM.
Tarification :
- Gratuit : 300 000 requêtes par mois
- Payant : abonnement annuel modeste pour les requêtes illimitées
Plateformes : Windows, macOS, Linux, Android, iOS, routeurs
Télécharger : NextDNS
En résumé : le choix raisonnable pour une machine monoposte qui veut un filtrage fort et une analyse honnête.
2. ControlD
ControlD propose l’un des clients de bureau les plus épurés du secteur et son différenciateur est le routage par application. Nous pouvons pointer Chrome vers un profil, Steam vers un autre, et tout le reste vers un troisième. Le déblocage géographique, les règles personnalisées par domaine et un ensemble de filtres prédéfinis (publicités, suivi, malveillances, télémétrie IoT) sont tous de première classe. L’entreprise est une filiale de l’équipe VPN Windscribe, et la posture d’audit le reflète — aucun journal de requête conservé, transparence de la disponibilité, audits tiers.
Où cela pèche : l’offre gratuite est généreuse mais les règles précises vivent dans le plan payant. L’application de bureau prend un moment à s’ouvrir au premier lancement.
Tarification :
- Gratuit : offre entièrement gratuite avec filtrage de base
- Payant : abonnement annuel modeste pour les règles personnalisées et le routage par application
Plateformes : Windows, macOS, Linux, Android, iOS, routeurs
Télécharger : ControlD
En résumé : le choix pour quiconque veut que Chrome et le VPN professionnel communiquent avec des résolveurs différents.
3. AdGuard DNS
AdGuard DNS est le résolveur pour quelqu’un qui veut le blocage des publicités et des traceurs par défaut et pas grand-chose d’autre à configurer. Deux présets adaptés aux familles, des points de terminaison DoH par serveur, et un client Windows qui lie chaque interface réseau au serveur amont chiffré. Les statistiques ne sont envoyées au tableau de bord AdGuard que si nous le choisissons ; le résolveur « sans journaux » ignore entièrement l’analyse.
Où cela pèche : la surface de personnalisation est plus fine que NextDNS ou ControlD. Si nous exécutons déjà AdGuard Home sur un serveur, c’est redondant.
Tarification :
- Gratuit : 300 000 requêtes par mois
- Payant : abonnement annuel modeste pour les requêtes illimitées et les filtres premium
Plateformes : Windows, macOS, Linux, Android, iOS
Télécharger : AdGuard DNS
En résumé : le choix pour un DNS chiffré sans réglage qui bloque les publicités d’emblée.
4. Cloudflare WARP
Cloudflare WARP est l’option gratuite qui ne demande pas de réflexion. Installez le client, connectez-vous avec un e-mail, et chaque requête DNS de la machine passe par un tunnel chiffré vers le résolveur 1.1.1.1 de Cloudflare. Le niveau premium WARP+ met à niveau le transport vers le tunnel Argo pour un vrai gain de latence dans les régions à mauvais réseau, et Zero Trust WARP ajoute des politiques au niveau de l’équipe pour un usage familial ou petit-entreprise. Il fonctionne également comme un léger VPN, bien qu’un vrai VPN soit encore un meilleur VPN.
Où cela pèche : le filtrage est limité aux listes de blocage Cloudflare 1.1.1.1 for Families. Tout dans l’application suppose un compte Cloudflare.
Tarification :
- Gratuit : DNS chiffré illimité et tunnel léger
- Payant : abonnement WARP+ mensuel modeste pour le niveau Argo
Plateformes : Windows, macOS, Linux, Android, iOS
Télécharger : Cloudflare WARP
En résumé : le DNS chiffré gratuit avec le coût de configuration le plus bas, et le choix le plus sûr si nous ne pouvons pas nous engager sur un résolveur payant.
5. Simple DNSCrypt
Simple DNSCrypt est l’interface open source native Windows pour DNSCrypt Proxy. Il est livré avec une liste organisée de résolveurs publics qui prennent en charge DNSCrypt v2, DoH et DoT, et les câble dans le résolveur Windows via loopback. Parce que tout s’exécute localement, il n’y a pas de compte cloud et pas de télémétrie.
Où cela pèche : l’interface utilisateur est fonctionnelle, pas polie. Le routage par application n’en fait pas partie. Quiconque veut du filtrage doit choisir un résolveur dont le serveur amont filtre déjà.
Tarification :
- Gratuit : complètement gratuit, open source
- Payant : pas d’offre payante
Plateformes : Windows
Télécharger : Simple DNSCrypt
En résumé : le choix pour quiconque veut le DNS chiffré sans compte hébergé, et ne veux pas déranger pour choisir son propre résolveur.
6. YogaDNS
YogaDNS est un utilitaire Windows payant qui résout le problème du DNS par application de manière plus approfondie que ControlD. Les règles peuvent correspondre au nom du processus, à la plage IP ou à la requête DNS, et router chaque correspondance vers un serveur amont différent via DoH, DoT, DNSCrypt ou UDP simple pour les domaines locaux. Pour quiconque exécute un mélange de services homelab, un VPN professionnel et un navigateur personnel sur la même machine, YogaDNS est l’outil qui les garde hors des tables DNS les uns des autres.
Où cela pèche : l’interface utilisateur montre son héritage d’utilitaire Windows. C’est un utilitaire payant plutôt qu’un service hébergé, donc le filtrage dépend du serveur amont vers lequel nous pointons les règles.
Tarification :
- Gratuit : essai
- Payant : licence unique modeste pour l’édition Pro
Plateformes : Windows
Télécharger : YogaDNS
En résumé : l’alternative quand le modèle « un résolveur pour tout » ne convient pas.
7. DNSCrypt-Proxy
DNSCrypt-Proxy est le résolveur en ligne de commande que Simple DNSCrypt enveloppe d’une interface utilisateur, et l’exécuter directement est un mouvement raisonnable pour quiconque est à l’aise dans un fichier de configuration. Il supporte DoH, DoT, DNSCrypt v2, Oblivious DoH et relais DNS anonymisé. Sur Windows, il s’exécute en tant que service, écoute sur loopback et prend une configuration de style nsswitch pour router les règles vers les serveurs amont. Pour quiconque construit une configuration sans interface ou scriptant le résolveur pour la reproductibilité, c’est la primitive à utiliser.
Où cela pèche : pas d’interface utilisateur. La configuration est un fichier TOML. Les petites erreurs dans la config se traduisent par des moments sans DNS pendant un après-midi chargé.
Tarification :
- Gratuit : complètement gratuit, open source
- Payant : pas d’offre payante
Plateformes : Windows, macOS, Linux, BSD
Télécharger : Versions de DNSCrypt-Proxy
En résumé : le choix pour scriptant toute la pile DNS chiffré sous contrôle de source.
8. Windows 11 DNS over HTTPS
Windows 11 propose un client DoH dans Paramètres → Réseau et Internet → Ethernet ou Wi-Fi → Attribution du serveur DNS. Définissez le DNS sur 9.9.9.9 (Quad9), 1.1.1.1 (Cloudflare), 8.8.8.8 (Google), 76.76.2.0 (ControlD) ou 94.140.14.14 (AdGuard) et basculez le chiffrement DNS de Désactivé à « Chiffré uniquement (DNS over HTTPS) ». Le résolveur système prend le relais à partir de là, aucun client tiers requiert. C’est le paramètre que l’article XDA a signalé et c’est le point de départ approprié.
Où cela pèche : le sélecteur ne reconnaît que une petite liste de résolveurs bien connus. Les points de terminaison DoH personnalisés pour un profil NextDNS ou un résolveur privé ont toujours besoin d’un client tiers. Pas de filtrage, d’analyse ou de règles par application.
Tarification : inclus dans Windows 11
Plateformes : Windows 11 (Windows 10 dispose d’un client DoH de qualité aperçu derrière un flag)
Télécharger : Guide Microsoft DoH
En résumé : la mise à niveau gratuite de cinq minutes que chaque machine Windows 11 devrait avoir activée, que nous ajoutions ou non un client tiers par-dessus.
Comment choisir la bonne application de DNS chiffré sur Windows
- Si nous voulons la configuration la plus rapide sans compte : activez Windows 11 DoH et pointez-le vers Cloudflare, Quad9 ou ControlD.
- Si nous voulons un filtrage de contenu fort et une analyse honnête : NextDNS est le choix.
- Si nous exécutons Chrome, Steam et un VPN professionnel sur la même boîte et les voulons sur des résolveurs différents : ControlD ou YogaDNS.
- Si le blocage des publicités est tout l’objectif : AdGuard DNS.
- Si nous voulons un tunnel gratuit et un résolveur en un : Cloudflare WARP.
- Si nous voulons zéro compte cloud : Simple DNSCrypt ou DNSCrypt-Proxy avec un résolveur DoH public.
Pour la plupart des gens, la pile sensée est Windows 11 DoH pointé vers Cloudflare ou Quad9 comme base, plus NextDNS ou ControlD comme couche de filtrage pour le réseau domestique. De cette façon, un changement de Wi-Fi vers un réseau hôtelier obtient toujours des requêtes chiffrées, et le profil de filtrage suit le compte.
FAQ
Windows 11 DoH est-il suffisant en soi ? Pour le DNS chiffré sans filtrage, oui. Cela cache les requêtes au réseau local et au FAI. Si nous voulons le blocage des publicités ou des traceurs, ou les règles par application, nous voulons toujours un résolveur ou un client tiers par-dessus.
Quel résolveur DNS chiffré est le plus rapide sur Windows ? Cloudflare et Google se situent à quelques millisecondes l’un de l’autre sur la plupart des connexions domestiques aux États-Unis et en UE. Les réseaux anycast de NextDNS et ControlD sont compétitifs. La bonne réponse est d’évaluer le benchmark sur notre propre réseau, car l’appairage ISP compte plus qu’un classement.
Le DNS chiffré remplace-t-il un VPN ? Non. Le DNS chiffré masque le domaine que nous consultons mais pas l’IP à laquelle nous nous connectons. Un VPN cache également l’IP de destination. Pour la navigation quotidienne sur un réseau domestique, le DNS chiffré couvre la plus grande fuite. Pour le Wi-Fi public, nous voulons aussi un VPN.
Puis-je exécuter le DNS chiffré avec un Pi-hole ou AdGuard Home domestique ? Oui. Pointez le serveur amont du Pi-hole vers un résolveur DoH ou DoT, et laissez Windows utiliser le Pi-hole comme serveur DNS régulier sur le LAN. Certaines configurations exécutent un client DoH léger sur le desktop pour les jours de café et le Pi-hole pour la maison.
Quelle est la différence entre DoH, DoT et DoQ ? DoH tunnelise DNS sur HTTPS sur le port 443, DoT tunnelise DNS sur TLS sur le port 853, et DoQ tunnelise sur QUIC. Les trois chiffrent la requête et empêchent l’espionnage du LAN ou du FAI. DoH est le mieux pris en charge sur Windows car il partage le port 443 avec le trafic HTTPS normal.
